Sikkerhetsopplæring og tiltak mot phishing

Tekniske kontroller – brannmurer, kryptering og MFA – er avgjørende, men det menneskelige elementet er fortsatt den mest utnyttede sårbarheten i de fleste datainnbrudd. Sikkerhetsbevissthetsopplæring skal bygge en sikkerhetsbevisst kultur der ansatte gjenkjenner trusler, følger sikre arbeidsmåter og forstår konsekvensene av handlingene sine. Security+-eksamen tester forståelsen Deres av hvordan effektive bevissthetsprogrammer utformes og måles, ikke bare hvilke temaer de skal dekke. En ineffektiv avkrysningsøvelse én gang i året har minimal effekt; et effektivt program er kontinuerlig, engasjerende og målbart.

Et effektivt sikkerhetsbevissthetsprogram består av flere komponenter som virker sammen. Rollebasert opplæring tilpasser innholdet til bestemte jobbfunksjoner – ledere trenger bevissthet om whaling og BEC, utviklere trenger sikker koding, og økonomimedarbeidere trenger prosedyrer mot betalingssvindel. Phishing-simuleringer gir realistisk trening og måler klikkfrekvenser. Opplæring i riktig øyeblikk gir et læringselement umiddelbart etter at en simulering mislykkes. Sikkerhetsnyhetsbrev og annen kommunikasjon holder sikkerhet øverst i bevisstheten. Måleverdier som klikkfrekvens i simuleringer, fullføringsgrad for opplæring og antall rapporterte phishingforsøk måler programmets effektivitet over tid.

Phishing-simulering tester ansatte med realistiske, falske phishing-e-poster for å måle hvor utsatte de er og identifisere opplæringsbehov. Plattformer som KnowBe4, Proofpoint Security Awareness og Cofense tilbyr ferdig utformede kampanjer og analysefunksjoner. God praksis omfatter å starte med en grunnlinjetest før opplæringen for å måle den innledende klikkfrekvensen, variere phishingmalene slik at ulike påskudd dekkes (innhenting av påloggingsopplysninger, vedlegg, BEC), gi umiddelbar opplæring til ansatte som klikker, dele resultatene inn etter avdeling for å finne høyrisikogrupper og gjennomføre gjentatte tester for å bekrefte at klikkfrekvensen synker over tid. Bruk aldri simuleringer som straffetiltak.

SPF (Sender Policy Framework) er en DNS-basert mekanisme som angir hvilke e-postservere som har tillatelse til å sende e-post for et domene. Domeneeieren publiserer en SPF-post (en TXT-post i DNS) med en liste over autoriserte IP-adresser eller vertsnavn. Når en mottakende e-postserver får en e-post som hevder å være fra example.com, spør den DNS etter SPF-posten for example.com og bekrefter at IP-adressen til avsenderserveren er autorisert. E-poster fra uautoriserte servere kan merkes som søppelpost eller avvises. SPF alene beskytter ikke den synlige From-adressen, bare konvoluttavsenderen (Return-Path).

DKIM (DomainKeys Identified Mail) legger til en kryptografisk signatur i utgående e-postmeldinger. Den sendende e-postserveren signerer e-posthodene og innholdet med domenets private nøkkel og inkluderer signaturen i et DKIM-Signature-hode. Den mottakende serveren henter den tilsvarende offentlige nøkkelen fra DNS (TXT-posten selector._domainkey.example.com) og bekrefter signaturen. DKIM beviser at e-posten ikke er endret under overføringen, og at den stammer fra noen som har tilgang til den private nøkkelen. I motsetning til SPF beskytter DKIM Header From-adressen og fungerer også etter videresending av e-post.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bygger på SPF og DKIM ved å angi hvilken handling mottakende e-postservere skal utføre når en e-post ikke består begge kontrollene, samt ved å tilby rapportering. En DMARC-policy med p=reject instruerer mottakerne om å forkaste e-poster som ikke består samsvarskontrollen for SPF og DKIM for domenet. DMARC introduserer også samsvar – domenet i Header From må samsvare med domenet som ble validert av SPF/DKIM. Samlerapporter fra DMARC (rua) viser hvem som sender e-post ved hjelp av domenet Deres, og avdekker uautoriserte avsendere og aktive forfalskningskampanjer.

En Secure Email Gateway (SEG) skanner all inn- og utgående e-post for skadelig innhold før levering. SEG-er kombinerer flere deteksjonsteknologier: spamfiltrering, SPF/DKIM/DMARC-verifisering, omskriving av URL-er (lenker konverteres til proxyversjoner for sikker skanning), sandkassekjøring av vedlegg (mistenkelige filer kjøres i isolerte miljøer) og datatapshindring (skanning av utgående e-post etter sensitive data). Populære SEG-leverandører omfatter Proofpoint, Mimecast, Microsoft Defender for Office 365 og Cisco Secure Email. SEG-er utgjør den første tekniske forsvarslinjen mot e-postbaserte angrep.

Et av de mest verdifulle resultatene av sikkerhetsbevissthetsopplæring er et miljø der ansatte føler seg trygge på å rapportere mistenkelig aktivitet uten frykt for skyld eller latterliggjøring. Hvis ansatte frykter straff for å ha klikket på en phishing-lenke, vil de skjule det i stedet for å rapportere det – og dermed gi angriperne mer tid inne i nettverket. En rapporteringskultur uten skyldfordeling innebærer å takke ansatte som rapporterer mistenkelige e-poster (også falske positiver), bruke mislykkede simuleringer som læringsmuligheter i stedet for straff og gjøre rapporteringen enkel gjennom dedikerte e-postaliaser eller nettleserprogramtillegg. Målet er rask oppdagelse, ikke perfekt menneskelig ytelse.

Tekniske kontroller supplerer opplæringen ved å stanse phishing som når frem til brukerne. Phishing-beskyttelse i nettleseren bruker sanntidsdatabaser for URL-omdømme (Google Safe Browsing, Microsoft SmartScreen) til å advare brukere før de besøker kjente ondsinnede nettsteder. DNS-sinkhull peker ondsinnede domener til adresser som ikke kan rutes, og blokkerer tilgangen på nettverkslaget uten handling på klienten. Proxyfiltrering gjør det mulig å blokkere URL-kategorier. Når brukeropplæring kombineres med disse tekniske kontrollene, oppstår flere uavhengige muligheter til å stanse phishingforsøk før de fører til kompromitterte påloggingsopplysninger eller installasjon av skadevare.

Sikkerhetsbevissthetsprogrammer må måles for å begrunne investeringer og drive kontinuerlig forbedring. Viktige resultatindikatorer omfatter: klikkfrekvens for phishing (grunnlinje sammenlignet med etter opplæring), gjennomsnittlig tid til rapportering av en phishing-e-post, fullføringsgrad for opplæring fordelt på avdeling, antall bekreftede hendelser som involverer menneskelige feil og reduksjon i datainnbrudd basert på kompromitterte påloggingsopplysninger over tid. Rapportering til ledelsen bør vise trender (forbedring eller forverring) og fremheve avdelinger som trenger målrettede tiltak. Knytt måleverdiene til forretningsrisiko – en klikkfrekvens på 5 % i økonomiavdelingen innebærer høyere risiko enn 5 % i vedlikeholdsavdelingen.

Bevisstgjøringstrening må støttes av retningslinjer som kan håndheves. Retningslinjer for akseptabel bruk (AUP) definerer hvordan ansatte kan og ikke kan bruke organisasjonens systemer, nettverk og data. Ansatte bør bekrefte AUP årlig, og når retningslinjene endres, gjennom en signert avtale. AUP danner det juridiske grunnlaget for disiplinære tiltak når ansatte bryter sikkerhetsretningslinjene – å klikke på en phishing-lenke er en opplæringssvikt, mens bevisst deling av påloggingsopplysninger er et brudd på retningslinjene. Andre relevante retningslinjer omfatter retningslinjer for sosiale medier (hva som kan deles om organisasjonen), retningslinjer for mediehåndtering og retningslinjer for ryddig skrivebord.

I denne leksjonen har De lært at effektive programmer for sikkerhetsbevissthet kombinerer rollebasert opplæring, phishing-simuleringer, læring akkurat i tide og målbare KPI-er for å redusere risiko knyttet til menneskelige faktorer, at SPF, DKIM og DMARC arbeider sammen for å autentisere e-postavsendere og forhindre forfalskning av domener, og at sikre e-postgatewayer gir lagdelte tekniske forsvarsmekanismer, inkludert sandkassekjøring av vedlegg, omskriving av URL-er og DLP for innkommende og utgående e-post. Neste tema er skadevaretyper og virkemåte.